Next.js 16.4.1 và 15.5.28 vá hai lỗ hổng thực thi mã từ xa CVSS 9.5 cùng một lỗi từ chối dịch vụ. Ai bị ảnh hưởng và cần làm gì ngay.
Drupal phát hành 11.4.10, 11.3.19 và 10.6.19 để vá CVE-2026-108097 - lỗ hổng thực thi mã từ xa trong module Field UI, có đường khai thác không cần đăng nhập thông qua module đóng góp.
CVE-2026-85097 trong Bricksforge cho phép kẻ tấn công không cần đăng nhập tải lên và chạy mã PHP. Patchstack ghi nhận các đợt khai thác tự động từ ngày 7/10/2026.
Sucuri phân tích backdoor SC rải bản sao ở ít nhất 8 nơi - file, database và bộ nhớ dùng chung - để tự khôi phục sau khi bị xóa, nhận lệnh qua blockchain Ethereum.
Kẻ tấn công đã khai thác CVE-2026-87902 (CVSS 9.2) ngay trong ngày WordPress phát hành bản vá, dùng pearcmd.php để ghi file PHP và tải web shell. CISA đã đưa lỗ hổng vào danh mục KEV.
WordPress 7.1.2 vá CVE-2026-87902 (CVSS 9.2): kẻ tấn công không cần tài khoản có thể buộc website nạp file PHP nằm ngoài thư mục theme. Mọi phiên bản từ 4.7.0 tới 7.1.1 đều bị ảnh hưởng.
WordPress 7.1.1 vá lỗ hổng Click2Shell - một đường link được chế tác có thể khiến WordPress tự cài theme khi quản trị viên đang đăng nhập mở nó, và có thể ghép với lỗi của theme để chạy mã trên máy chủ.
WordPress.org bắt đầu dùng AI kết hợp Jetpack Scan để chấm điểm rủi ro từng bản cập nhật plugin trong thời gian chờ, tự động chặn các bản có điểm rủi ro cao.
WordPress 7.0.3 vá CVE-2026-64638 (CVSS 8.9) - lỗi XSS phản xạ ở trang đăng nhập, không cần xác thực, ảnh hưởng mọi phiên bản. pwn.ai chứng minh có thể ghép thành chuỗi chạy mã PHP trên máy chủ.
